Рубрика: Windows

Недавно был приобретен новый сервер от HP, который идеально подходит для построения небольшого виртуализированного гипервизора. В качестве такого была выбрана платформа Microsoft (Windows Server 2008R2 Enterprise + роль Hyper-V). Как и положено, роль была успешно установлена на хост, также установлены были все текущие обновления с Windows Update, но при попытке запуска виртуальной машине выдавалось вот такое сообщение “Не удается запустить виртуальную машину, поскольку низкоуровневая оболочка не запущена.”  Поиск по российскому сегменту интернета не дал положительного результата, в BIOS  сервера было все включено. Хотел уже было писать в техническую поддержку HP. Позвонил по телефону, выяснил, что для этого сервера поддержка оказывается только в режиме чата с европейскими специалистами, не смотря на расширенное гарантийное обслуживание сервера, купленной дополнительно. Пока составлял описание проблемы, случайно попал на описание данной проблемы на английском языке. Вот эта ссылка: http://social.technet.microsoft.com/wiki/contents/articles/194.hyper-v-troubleshooting-event-id-3112-the-virtual-machine-could-not-be-started-because-the-hypervisor-is-not-running.aspx Там я заметил, что для серверов с процессорами “Bulldozer” есть специальный хотфикс. Решил глянуть какой у нас стоит процессор, выяснилось, что два 16-ядерных Opteron 6272. Поставил эту заплатку, перезагрузил сервер и проблема тут же пропала!!

Было найдено решение:  расшарить принтер в Windows 7 и подключить расшаренный принтер в Windows XP.  С этим также возникла проблема, поэтому было найдено решение, которое подробно описано в статье http://www.kudesnik.net/networks.htm#share  в пункте “Альтернативный способ установки драйвера на удалённом компьютере”.

dsmod computer DN_компьютера -disabled yes/no
Удаление компьютера производится через команду:
dsrm DN_объекта

netdom renamecomputer Имя_машины /NewName:Новое_имя [/UserO:Локальное_имя_пользователя][/PasswordO:{Локальный_пароль|*}][/UserD:Доменное_имя_пользователя][/PasswordD:{Доменный_пароль|*}][/SecurePasswordPrompt][/REBoot[:Время_в_секундах]]

1) Оснастка Active Directory – Пользователи и компьютеры. Щелкните объект компьютера правой кнопкой мыши и примените команду “Переустановить учетную запись”. После этого компьютер следует заново присоединить к домену и перезагрузить.
2) dsmod computer "DN_компьютера" -reset. После этого компьютер следует заново присоединить к домену и перезагрузить.
3) netdom reset Имя_машины /domain Имя_домена /UserO Имя_пользователя /PasswordO {Пароль|*}. Имя пользователя и пароль используются из группы локальных администраторов. Далее не требуется повторное присоединение к домену или перезагрузка.
4) На компьютере, где утрачены доверительные отношения, введите команду nltest /server:Имя_сервера /sc_reset:ДоменКонтроллер_домена. Далее не требуется повторное присоединение к домену или перезагрузка.
5) Для новых версий систем: Test-ComputerSecureChannel –Credential YourDomain\AdminUser  -Repair

ms-DS-MachineAccountQuota – параметр, определяющий прошедшему подлинность пользователю присоединить компьютер к домену. По умолчанию, разрешается такому пользователю добавить 10 компьютеров. После присвоения атрибуту ms-DS-MachineAccountQuota значение 0 право присоединять компьютеры к домену будут иметь только те пользователи, которые явным образом делегированы разрешения.

redircmp "DN_подразделения для новых объектов компьютеров"
redirusr "DN_подразделения для новых объектов пользователей"

netdom join Имя_машины /Domain:Имя_домена [/OU: «DN_подразделения»] [/User0:Имя_локального_пользователя][/Password0:{Локальный_пароль|*}][/UserD:Имя_пользователя_домена][/PasswordD:{Доменный_пароль|*}][/SecurePasswordPrompt][/REBoot[:Время_в_секундах]]

После установки роли AD на Windows Server появляются несколько стандартных групп безопасности, которые в основном связаны с управлением Active Directory. Какие же группы создаются?

1) Администраторы предприятия (Enterprise Admins) – находится в контейнере Users корневого домена леса. Эта группа – член группы Администраторы (Administrators) в каждом домене леса; она представляет полный доступ к конфигурации всех контроллеров домена. Данная группа также является владельцем раздела Конфигурация (Configuration) каталога и имеет полный доступ к содержимому именования домена во всех доменах леса.

2) Администраторы схемы (Schema Admins) – находится в контейнере Users корневого домена леса. Эта группа имеет полный доступ к схеме Active Directory.

3) Администраторы (Administrators) – находится в контейнере Builtin каждого домена. Эта группа имеет полный доступ ко всем контроллерам домена и данным в контексте именования домена. Она может изменять членство во всех административных группах домена, а группа Администраторы (Administrators) в корневом домене леса может изменять членство в группах Администраторы предприятия (Enterprise Admins), Администраторы Схемы (Schema Admins) и Администраторы домена (Domain Admins). Группа Администраторы в корневом домене леса имеет наибольшие полномочия среди групп администрирования в лесу.

4) Администраторы домена (Domain Admins) – находится в контейнере Users каждого домена. Эта группа входит в группу Администраторы своего домена. Поэтому она наследует все полномочия группы Администраторы. Кроме того, она по умолчанию входит в локальную группу Администраторы каждого рядового компьютера домена, в результате чего администраторы домена получают в свое распоряжение все компьютеры домена.

5) Операторы сервера (Server Operators) – находится в контейнере Builtin каждого домена. Эта группа может решать задачи технической поддержки на контроллерах домена. Операторы сервера могут локально входить в систему, запускать и останавливать службы, выполнять резервное копирование и восстановление, форматировать диски, создавать и удалять общие ресурсы, а также завершать работу контроллеров доменов. По умолчанию данная группа не содержит членов.

6) Операторы учета (Account Operators) – находится в контейнере Builtin каждого домена. Эта группа может создавать, модифицировать и удалять учетные записи пользователей, групп и компьютеров в любом подразделении домена (кроме подразделения Domain Controllers), а также в контейнерах Users и Computers. Операторы учета не могут модифицировать учетные записи, включенные в группы Администраторы и Администраторы домена, а также не могут модифицировать эти группы. Операторы учета также могут локально входить на контроллеры домена. По умолчанию эта группа не содержит членов.

7) Операторы архива (Backup Operators) – находится в контейнере Builtin каждого домена. Эта группа может выполнять операции резервного копирования и восстановления на контроллерах домена, а также локально входить на контроллеры домена и завершать их работу. По умолчанию эта группа не содержит членов.

8 ) Операторы печати (Print Operators) – находится в контейнере Builtin каждого домена. Эта группа может обеспечивать поддержку очередей заданий печати на контроллерах домена. Она также может локально входить на контроллеры домена и завершать их работу.

Создание групп с помощью команды Dsadd
dsadd group "DN_группы"
Могут использоваться следующие ключи:
-secgrp {yes|no} – тип группы
-scope {l|g|u} – область действия группы
-samid – указывает атрибут sAMAccountName. Если он не указан, то используется имя группы из DN.
-desc – описание группы
-members DN_члена – добавляет члены в группу
-memberof DN_группы – назначает создаваемую группы членом одной или нескольких существующих групп

Извлечение данных о членстве в группе с помощью команды Dsget
Извлечь полный список членов группы, включая вложенные члены можно так:
dsget group "DN_группы" -members [-expand]
где опция expand извлекает члены вложенных групп

Для извлечения полного списка групп, к которым принадлежит пользователь или компьютер (указав опцию expand) можно так:
dsget user "DN_пользователя" -memberof [-expand]
dsget computer "DN_компьютера" -memberof [-expand]

Изменение членства в группе с помощью команды Dsmod
dsmod group "DN_группы" [options]
В опции входят, например, атрибуты samid и desc, с помощью которых можно модифицировать атрибуты sAMAccountName и description группы. Однако, есть ещё две дополнительные опции:
-addmbr “DN_члена” – добавляет члены в группу;
-rmmbr “DN_члена” – удаляет член из группы

Перемещение и переименование групп с помощью команды Dsmove
dsmove DN_объекта [-newname Новое_имя] [-newparent DN_конечного_подразделения]

Удаление групп с помощью команды Dsrm
dsrm DN_группы [-subtree[-exclude]][-noprompt][-c]
Если не указать параметр noprompt, команда предложит подтверждать удаление каждого объекта. Переключатель -сзапускает команду Dsrm в режиме, когда выводятся сообщения об ошибках, однако при этом команда продолжает обработку дополнительных объектов. Без этого переключателя обработка остановится при первой же ошибке.

Управление членством в группе с помощью Windows PowerShell И VBScript

$MemberADSPath = "LDAP://CN=Иван Иванов,OU=Кадры,DC=contoso,DC=com" //определение атрибута aDSPath члена
$objGroup = [ADSI]"LDAP://CN=Анализ,OU=Группы,DC=contoso,DC=com" //подключение к группе
$objGroup.Add ($MemberADSPath) //использование метода Add или Remove

MemberADSPath = "LDAP://CN=Иван Иванов,OU=Кадры,DC=contoso,DC=com"
Set objGroup = GetObject("LDAP://CN=Анализ,OU=Группы,DC=contoso,DC=com")
objGroup.Add MemberADSPath